Tag Archives: kriitiline turvanõrkus

Olulised turvanõrkused 2023. aasta 16. nädalal

Hikvisioni toodetel parandati kriitiline turvanõrkus

Hikvision teatas eelmisel nädalal, et on parandanud ühe kriitilise haavatavuse tähisega CVE-2023-28808. Haavatavus on seotud andmete salvestamiseks mõeldud süsteemidega. Turvaviga lubab mõjutatud süsteemides omandada administraatori tasemel õigused. Administraatoriõiguseid saab potentsiaalselt kuritarvitada videokaamerate salvestistele ja teistele andmetele ligipääsemiseks. Nii võib ründaja avaldada seadmete kasutajatele märgatavat mõju (SW, Hikvision). 

Kes ja mida peaks tegema?

Kui te kasutate Hikvisioni seadmeid, tutvuge tootja infolehega, kus on mõjutatud tooted ja parandusega tarkvaraversioonid välja toodud ning uuendage süsteemide tarkvara esimesel võimalusel. Infoleht asub siin.

Taaskasutusse antud võrguseadmed võivad sisaldada tundlikke andmeid

Ringlusesse antud võrguseadmed võivad tihti sisaldada varasemate kasutajate tundlikke andmeid, näiteks erinevat konfiguratsiooniteavet, kasutajatunnused või klientide andmeid. Eksperdid avastasid, et 16-st järelturult ostetud võrguseadmest üheksa sisaldasid andmeid, mille abil oli sisuliselt võimalik koostada võrguplaane varasemate seadmete omanike võrkude kohta. Lisaks leiti, et võrguseadmed sisaldasid virtuaalsete privaatvõrkude (VPN) kasutajatunnuseid või räsitud juurparoole. Ekspertide sõnul on nähtus murettekitav, kuna selliste seadmete kaudu on pahaloomuliste kavatsustega isikutel suhteliselt lihtsalt võimalik tundlikele andmetele ligi pääseda (DR).

Tegu ei ole siiski uue avastusega. Aastate jooksul on tihti leitud, et kõvakettad, mobiilseadmed ja printerid sisaldavad erisuguseid andmeid. 2019. aastal tõdeti ühes uuringus, et vaid kaks seadest 85-st olid korralikult andmetest puhastatud, enne kui need anti edasi kasutatud asjade müüjatele. Siiski võivad taaskasutusse antud ruuterid kujutada endast suuremat turvariski võrreldes teiste seadmetega nendes peituvate andmete eripära tõttu (DR).

Chrome’il paigati nullpäeva turvanõrkus

Google parandas Chrome’i uue versiooniga 112.0.5615.137 sel aastal teise nullpäeva turvanõrkuse (CVE-2023-2136), mida on rünnakutes juba ka ära kasutatud. Turvanõrkus mõjutab Windowsile, macOSile ja Linuxile mõeldud Chrome’i sirvikuid. Kokku paikas Google Chrome’il kaheksa viga, millest neli olid kõrge mõjuga (SA, Chrome).

Kes ja mida peaks tegema?

Kui te Chrome’i kasutate, uuendage see esimesel võimalusel. Juhised selleks leiate siit.

VMware paikas logide analüüsimiseks kasutatavas tööriistas kriitilised turvavead

VMware parandas vRealize Log Insighti (tuntud ka kui VMware Aria Operations for Logs) tarkvaras kriitilised turvavead (CVE-2023-20864 ja CVE-2023-20865), mille abil on ründajal võimalik käivitada juurõigustega haavatavates seadmetes pahaloomulist koodi. Neid turvanõrkuseid on ründajatel võimalik ka suhteliselt lihtsalt kuritarvitada.  

Kes ja mida peaks tegema?

CVE-2023-20864 turvavea vastu on haavatav ainult vRealize Log Insighti versioon 8.10.2. Kõik teised versioonid on haavatavad nõrkuse CVE-2023-20865 vastu, mida hinnatakse veidi vähem kriitiliseks. Soovitame kõigil, kes antud tarkvara kasutavad, lugeda tootja infolehte, kus on kõik kasulikud juhised kättesaadavad.

Oracle paikas 433 turvanõrkust

Parandatud turvanõrkuste hulgas oli üle 70 kriitilise haavatavuse ja 250 turvaviga, mille jaoks ei pea ründaja end sihtmärgiks valitud süsteemis autentima. See tähendab, et ründajatel on lihtsam haavatavusi kuritarvitada. Turvavead mõjutavad mitmeid erinevaid ettevõtte tooteid, näiteks Oracle Communications, Oracle Financial Services, Fusion Middleware, MySQL ja teised. Täpsema nimekirja leiab lisatud linkidelt. Kui te selliseid tarkvarasid kasutate, soovitame need uuendada esimesel võimalusel (SW, Oracle).

Avalikustati veel üks VM2 teegi kriitilise turvavea kontseptsiooni tõendus

Viimastel nädalatel on teavitatud mitmest kriitilisest VM2-e nõrkusest, millele on olemas ka kontseptsiooni tõendused (PoC). PoCide abil on ründajatel lihtsam turvanõrkuseid kuritarvitada. Antud turvanõrkus võimaldab ründajatel VM2-e keskkonnast  välja pääseda ning käivitada tarkvara kasutavas seadmes pahaloomulist koodi. VM2 on lahendus, mille abil testitakse tarkvarasid. See takistab testitaval tarkvaral volitamata juurdepääsu süsteemiressurssidele või välistele andmetele. VM2-te laetakse igakuiselt alla rohkem kui 16 miljonit korda ning seda kasutavad integreeritud arenduskeskkonnad (IDE) ja koodiredaktorid, turbetööriistad ja mitmesugused teised JavaScriptiga seotud lahendused (BP).

Kes ja mida peaks tegema?

Kõikidel VM2-e kasutajatel soovitatakse see esimesel võimalusel uuendada versioonile 3.9.17. Sellisel juhul antud turvanõrkus teile ohtu ei kujuta. 


RIA analüüsi- ja ennetusosakond

Olulised turvanõrkused 2023. aasta 11. nädalal

Microsoft Outlooki kriitiline turvanõrkus kujutab suurt ohtu

14. märtsi õhtul avalikustas Microsoft, et on lisaks muudele nõrkustele paiganud ühe kriitilise nullpäeva haavatavuse tähisega CVE-2023-23397, mis mõjutab Windowsi operatsioonisüsteemile mõeldud Outlooki klientrakendusi. Ründaja saab seda turvaauku ära kasutada, kui ta saadab ohvrile näiteks spetsiaalse e-kirja. Kui haavatav rakendus e-kirja töötleb, luuakse ühendus ründaja infrastruktuuriga ja edastatakse sinna e-kirja saaja NTLM-räsi. Ründajal on võimalik seda räsi hiljem süsteemidesse ligipääsemiseks potentsiaalselt ära kasutada (vaid NTLM-räsiga autentimist toetavatesse süsteemidesse). Turvanõrkus on ohtlik isegi siis, kui pahaloomulise kirja saaja seda ei ava. Microsofti hinnangul on riikliku taustaga küberrühmitused üritanud juba seda haavatavust kuritarvitada (Microsoft).

Lisaks Outlooki mõjutavale kriitilisele turvanõrkusele paigati veel 82 turvaviga, millest kaheksa on hinnatud kriitiliseks. Ülevaate kõikidest parandatud turvavigadest leiate siit.

Kes ja mida peaks tegema?

Kriitiline haavatavus mõjutab kõiki toetatud Outlooki klientrakendusi, mida kasutatakse Windowsi operatsioonisüsteemides. Haavatavus ei mõjuta Androidile, iOSile ega macOSile mõeldud Outlooki rakendusi, samuti ei ole mõjutatud veebi teel kasutatav Outlook (OWA) ega teised M365 teenused (Microsoft).

Vastumeetmed

•             Haavatava tarkvara kasutamise korral tuleb esimesel võimalusel Microsofti viimased turvauuendused rakendada. Soovitame kindlasti tutvuda tootja veebilehega https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397, kus on välja toodud mõjutatud tarkvarad koos turvauuenduste allalaadimiseks mõeldud veebilinkidega.

•             Microsoft pakub organisatsioonidele skripti, mida saab kasutada, et tuvastada, kas neid on üritatud turvanõrkuse abil rünnata. Skripti koos dokumentatsiooniga leiate  https://microsoft.github.io/CSS-Exchange/Security/CVE-2023-23397/

•             Veebilehel https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397 on välja toodud ka alternatiivsed kaitsemeetmed, mida on võimalik vajadusel kasutada.

Exynos kiibistike turvanõrkused mõjutavad mitmeid seadmeid

Kokku avastati 18 nullpäeva turvanõrkust, mis on kõrge kriitilisuse tasemega. Turvanõrkused on murettekitavad, kuna Exynos kiibistikke kasutavad paljud erinevad seadmed. Nimekirja mõjutatud Exynos kiibistikest leiate siit. Kõige tõsisemal juhul on ründajal võimalik kiibistikku kasutav seade kompromiteerida, teades vaid ohvri telefoninumbrit (Google).

Kes ja mida peaks tegema?

Mõjutatud kiibistike põhjal on tehtud nimekiri seadmetest, mis võivad olla turvanõrkuste vastu haavatavad. Nimekiri ei pruugi sisaldada kõiki seadmeid, mis on turvanõrkustest mõjutatud. Mõjutatud on näiteks:

  • teatud Samsungi mobiiltelefonid, näiteks seeriatest S22, M33, M13, M12, A71, A53, A33, A21s, A13, A12 ja A04;
  • teatud Vivo mobiiltelefonid, näiteks seeriatest S16, S15, S6, X70, X60 ja X30;
  • Google Pixel 6. ja 7. seeria telefonid;
  • kõik autod, millel on Exynos Auto T5123 kiibistik (kasutatakse 5G ühenduse loomisel).

Seni, kuni turvauuendused ei ole saadaval (saadavus varieerub tootjate lõikes, Pixeli seadmetele on uuendused olemas), soovitab Google enda ülevaates neil kasutajatel, kes soovivad end siiski kaitsta nende koodi kaugkäitamist võimaldavate haavatavuste eest, seadetes WiFi- ja VoLTE-kõnede funktsionaalsus välja lülitada (Google).

SAPi toodetel paigati viis kriitilist turvanõrkust

SAPi toodetel paigati 19 turvaviga, mille hulgas oli viis turvanõrkust, mis on hinnatud kriitiliseks. Kriitilised turvavead mõjutavad SAPi tarkvarasid nimetustega SAP Business Objects Business Intelligence Platform (CMC) ja SAP NetWeaver. Kriitilised vead võimaldavad erinevaid toiminguid failidega – nt süsteemifailide üle kirjutamist, ligipääsu piiratud ressurssidele, kuid ka pahaloomuliste käskude käivitamist. Nimekirja parandatud turvanõrkustest leiate siit.

Kes ja mida peaks tegema?

SAPi toodete turvavead võivad olla ohuks paljudele organisatsioonidele, kuna neid kasutatakse maailmas laialdaselt ja need võivad olla heaks sisenemispunktiks teistesse süsteemidesse. Kõigil, kes mõjutatud tooteid kasutavad, tuleks uuendused rakendada esimesel võimalusel (SAP).

Mozilla paikas Firefoxi veebilehitsejal mitu turvaviga

Mozilla Firefoxi versioonis 111 on parandatud 13 turvaviga, nende hulgas seitse kõrge mõjuga haavatavust. Kõrge mõjuga vead võivad kaasa tuua teabe avalikustamise ja pahatahtliku koodi käivitamise. Mõned neist vigadest mõjutavad vaid Androidile mõeldud Firefoxi rakendust (SW, Mozilla).

Kes ja mida peaks tegema?

Firefoxi kasutajatel soovitame veebilehitseja uue versiooni kindlasti enda seadmele paigaldada. Juhised, kuidas Firefoxi uuendada, leiate siit.

Adobe avalikustas turvavärskendused mitmetele toodetele

Kokku parandati kaheksa turvauuendusega 105 haavatavust. Parandatud haavatavuste seas oli ka kaks kriitilist turvanõrkust CVE-2023-26360 ja CVE-2023-26359 ja mõlemad mõjutavad Adobe ColdFusion tarkvara. Mõlema turvanõrkuse abil on ründajal võimalik käivitada haavatavas süsteemis pahaloomulist koodi (SA).

Kes ja mida peaks tegema?

Soovitame tutvuda, millistele Adobe toodetele turvauuendused väljastati ja need vajadusel rakendada. Nimekirja uuendustest leiate siit.

RIA analüüsi- ja ennetusosakond

Kriitiline turvanõrkus ohustab Microsoft Outlooki klientrakenduse kasutajaid

14. märtsi õhtul avalikustas Microsoft, et on paiganud ühe kriitilise nullpäeva haavatavuse tähisega CVE-2023-23397, mis mõjutab Windowsi operatsioonisüsteemile mõeldud Outlooki klientrakendusi. Ründaja saab seda turvaauku ära kasutada, kui ta saadab ohvrile näiteks spetsiaalse e-kirja. Kui haavatav rakendus e-kirja töötleb, luuakse ühendus ründaja infrastruktuuriga ja edastatakse sinna e-kirja saaja NTLM-räsi. Ründajal on võimalik seda räsi hiljem süsteemidesse ligipääsemiseks potentsiaalselt ära kasutada (vaid NTLM-räsiga autentimist toetavatesse süsteemidesse). Turvanõrkus on ohtlik isegi siis, kui pahaloomulise kirja saaja seda ei ava. Microsofti hinnangul on riikliku taustaga küberrühmitused juba seda haavatavust üritanud kuritarvitada (Microsoft).

Kes ja mida peaks tegema?

Kriitiline haavatavus mõjutab kõiki toetatud Outlooki klientrakendusi, mida kasutatakse Windowsi operatsioonisüsteemides. Haavatavus EI MÕJUTA Androidile, iOSile ega macOSile mõeldud Outlooki rakendusi, samuti ei ole mõjutatud veebi teel kasutatav Outlook (OWA) ega teised M365 teenused (Microsoft).

Vastumeetmed


RIA analüüsi- ja ennetusosakond